Cách malware lợi dụng độ phân giải màn hình để tránh bị phát hiện

Trong những năm qua, các nhà phát triển phần mềm độc hại và các chuyên gia an ninh mạng đã có những cuộc đối đầu gay gắt. Gần đây cộng đồng các nhà phát triển phần mềm độc hại đã thực hiện một chiến lược mới để tránh bị phát hiện: kiểm tra độ phân giải màn hình.

Hãy cùng tìm hiểu lý do tại sao độ phân giải màn hình lại quan trọng đối với phần mềm độc hại và ý nghĩa của nó đối với bạn.

Tại sao phần mềm độc hại lại quan tâm đến độ phân giải màn hình?

Để tìm hiểu lý do tại sao phần mềm độc hại lại liên quan nhiều đến độ phân giải màn hình, hãy xem xét một trong những đối thủ lớn nhất của phần mềm độc hại: máy ảo.

Máy ảo là một công cụ hữu ích cho các nhà nghiên cứu virus. Chúng hoạt động giống như máy tính này trong máy tính khác, vì vậy bạn có thể sử dụng hệ điều hành khác mà không cần PC mới.

Ví dụ: nếu bạn có một máy tính Windows 10 nhưng muốn sử dụng Linux, bạn có thể thiết lập một máy ảo trong Windows 10 để chạy Linux. Nó hoạt động giống như một PC Linux nhưng chạy trong một cửa sổ trên Windows 10.

Máy ảo rất hữu ích cho các nhà nghiên cứu virus vì chúng hoạt động giống như một cái bẫy ruồi kỹ thuật số. Nếu một nhà nghiên cứu cho rằng một chương trình hoặc tệp chứa vi-rút, họ có thể kiểm tra bằng cách chạy nó trong một máy ảo.

Nếu tệp có chứa vi rút, nó sẽ lây nhiễm sang máy ảo. Vì một máy ảo được thiết lập giống như một máy thật nên vi-rút tin rằng nó đã lây nhiễm vào PC thật chứ không phải máy ảo. Như vậy, nó bắt đầu phân phối tải trọng của nó và làm hỏng máy ảo. May mắn thay, không thể gây ra thiệt hại do virus trên máy tính chính. Điều này chỉ ảnh hưởng đến máy ảo.

Khi virus được phát hiện, các nhà nghiên cứu có thể tìm hiểu cách thức hoạt động của nó và sau đó thiết lập lại máy ảo. Tiếp theo, họ lấy những gì học được từ máy ảo và sử dụng nó để tạo ra các định nghĩa virus nhằm bảo vệ người dùng trên máy thật. Vì điều này, máy ảo là đối thủ của các nhà phát triển phần mềm độc hại.

Độ phân giải màn hình đóng vai trò gì trong việc này?

Đã xảy ra lỗi khi sử dụng phương pháp kiểm tra ứng dụng này. Khi các nhà nghiên cứu phần mềm độc hại tạo ra một máy ảo, họ không thực sự quan tâm đến tất cả các tính năng bổ sung. Tất cả những gì bạn cần để kiểm tra virus là một máy ảo hoạt động như một máy tính bình thường. Mọi thứ khác chỉ là tùy chọn.

Do đó, các nhà nghiên cứu đôi khi không cài đặt phần mềm máy khách VM. Phần mềm cho phép các chức năng bổ sung như độ phân giải màn hình cao hơn mà nhà nghiên cứu không thực sự cần. Nếu người dùng không sử dụng phần mềm máy khách, máy ảo thường sẽ khóa người dùng xuống một trong hai độ phân giải thấp: 800 x 600 và 1024 x 768.

Hai giải pháp này rất quan trọng đối với một nhà phát triển phần mềm độc hại. Máy tính và máy tính xách tay hiện đại thường không có màn hình với độ phân giải này. Kích thước này rất lỗi thời.

Làm thế nào phần mềm độc hại sử dụng dữ liệu này để tránh máy ảo?

Nếu phần mềm độc hại xuất hiện trên máy tính chủ và được phát hiện đang chạy ở độ phân giải 800 × 600 hoặc 1024 × 768, điều đó có nghĩa là phần mềm độc hại có thể đang chạy trên phần cứng rất lỗi thời hoặc hiệu suất cao. được giám sát trong một máy ảo.

Khi virus hoạt động trong những điều kiện này, nó sẽ bị phơi nhiễm. Để tự bảo vệ, phần mềm độc hại sẽ tự diệt và không gây hại gì.

Theo quan điểm của nhà nghiên cứu, chương trình đang chạy và không lây nhiễm sang PC, vì vậy nó không phải là vi-rút. Sau đó, họ có thể đánh giá sai chương trình, cho phép phần mềm độc hại tiến xa hơn trước khi nó được phát hiện.

Ví dụ về cách phần mềm độc hại kiểm tra độ phân giải trong thế giới thực

Trickbot là một ví dụ điển hình của chiến thuật này. Các nhà nghiên cứu đã tìm cách đột nhập vào một dòng mã TrickBot mới và phân tích cách nó hoạt động. Một người dùng Twitter tên Mak (@maciekkotowicz) đã tìm thấy một đoạn mã trong TrickBot có thể quét độ phân giải 800 × 600 hoặc 1024 × 768.

Trong đoạn mã này, virus lấy giá trị X và Y của độ phân giải trên máy tính rồi kết hợp chúng để hiển thị kết quả. Nếu kết quả là 800 × 600 hoặc 1024 × 768, mã trả về số không. Điều này cho thấy rằng phần mềm độc hại đang chạy trong máy ảo.

Nếu phần mềm độc hại biết nó đang ở trong một máy ảo, nó sẽ tự hủy để tránh bị phát hiện. Bất kỳ ai tìm kiếm vi-rút trong một máy ảo sẽ coi nó là an toàn.

Chiến thuật này có ý nghĩa gì đối với bạn?

Tất nhiên, điều này có nghĩa là với độ phân giải 1024 x 768 hoặc 800 x 600, bạn sẽ được bảo vệ khỏi phần mềm độc hại. Khi đến được hệ thống, họ sẽ ghi lại sự tan rã và tự hủy của bạn trước khi gây hại. Tuy nhiên, để có được sự bảo vệ này bạn cần sử dụng máy tính có độ phân giải rất nhỏ!

Do đó, cách tốt nhất để chống lại loại phần mềm độc hại mới này là cập nhật phần mềm chống vi-rút của bạn. Giờ đây, mưu đồ chống VM này đã được công khai nên rất khó có khả năng các công ty bảo mật cao cấp sẽ bị lừa lần nữa.

Tuy nhiên, điều này đặc biệt quan trọng nếu bạn có xu hướng kiểm tra tệp trong máy ảo của riêng mình. Nếu máy ảo của bạn đang chạy ở 800 × 600 hoặc 1024 × 768, bạn nên đặt nó ở độ phân giải thường xuyên hơn. Nếu không, bạn không thể chắc chắn rằng tệp bạn đang aaaaaaaaaaaaaâ đã cài đặt các biện pháp phòng ngừa VM này.